Audits informatieveiligheid in eenvoudige taal bij agendapunt 10

Elk jaar controleert een externe auditor (onafhankelijke controleur) een deel van onze beveiligingsmaatregelen. Dit gaat om de beveiliging van Suwinet en DigiD. Suwinet is een netwerk waarmee overheidsorganisaties informatie over personen kunnen delen. Denk bijvoorbeeld aan gegevens over inkomen, werk en uitkeringen. Dit systeem helpt gemeenten en andere instanties om sneller en beter samen te werken. Ze kunnen de gegevens van personen gemakkelijk opzoeken om te zien welke regelingen of hulp iemand nodig heeft. De beveiliging van Suwinet is heel belangrijk, zodat deze gegevens veilig blijven. DigiD is een systeem waarmee personen veilig kunnen inloggen op bijvoorbeeld websites van de overheid. Denk aan de Belastingdienst, gemeentes en zorginstellingen. Met DigiD kunnen mensen hun zaken online regelen. Zoals het aanvragen van toeslagen of het bekijken van medische gegevens. DigiD is een soort digitale handtekening. Het bewijst wie je bent. Ook de veiligheid van DigiD is dus heel belangrijk. Dit zorgt ervoor dat anderen niet bij deze gegevens kunnen. We zijn als gemeente verplicht om deze beveiligingsmaatregelen elk jaar te laten controleren via ENSIA. Dit is een systeem waarmee we verschillende verplichte controles tegelijk uitvoeren. Zo hoeven we dubbele vragen maar één keer te beantwoorden en besparen we tijd.

Met ENSIA laten we aan de rijksoverheid zien dat we ons werk goed doen. Binnen de gemeente hebben we daarnaast twee interne controleurs (“toezichthouders”) voor privacy en informatiebeveiliging. Dit zijn de Functionaris Gegevensbescherming (FG) voor privacy en de Chief Information Security Officer (CISO) voor informatiebeveiliging. Zij controleren of we goed omgaan met informatie en persoonsgegevens. Ze geven hierover advies aan de medewerkers van de gemeente. De Baseline Informatiebeveiliging Overheid (BIO) is een verzameling basismaatregelen op gebied van informatieveiligheid. Deze maatregelen moeten overheden minimaal nemen om veilig om te gaan met informatie. In het derde kwartaal van 2025 komt de Cyberbeveiligingswet (Cbw). Deze wet verplicht gemeenten om de BIO in te voeren. We verwachten dat we dan een extra controle moeten laten uitvoeren op de hele BIO. We hopen dat dit via ENSIA kan, om dubbel werk te voorkomen. Voorstel aan de raad Op dit moment zijn we bezig om de BIO goed in te voeren. We krijgen hierbij hulp van een extern bedrijf. Ook voeren we een plan voor privacy uit. Alle adviezen uit het rekenkamerrapport nemen we mee in onze plannen. Deze oplossingen kosten tijd om door te voeren. Extra controles kosten ons veel tijd en geld, omdat we dezelfde vragen nog een keer moeten beantwoorden. Ook moeten we een auditor inhuren.

We willen onze tijd liever zo goed mogelijk gebruiken. Kan de raad ons eerst tijd geven om de oplossingen door te voeren? In het eerste kwartaal 2025 informeren we de raad hoe ver we zijn. In het derde kwartaal weten we of nieuwe verplichte controles de raad genoeg informatie geven. Is dat niet het geval, dan zoeken we hier dan een goede oplossing voor. Als de raad tussendoor meer informatie wil, kan dit altijd via de interne controleurs. Zij kunnen de raad informeren, zonder dat er een extra audit nodig is.